Організації більше не зберігають свої дані в одному централізованому місці. Користувачі та активи, що відповідають за обробку даних, можуть перебувати за межами мережі та ділитися інформацією зі сторонніми постачальниками, які самі віддалені від цих зовнішніх мереж.
Підхід Zero Trust вирішує цю ситуацію, розглядаючи кожного користувача, актив та додаток як потенційний вектор атаки, незалежно від того, автентифікований він чи ні. Це означає, що кожен, хто намагається отримати доступ до мережевих ресурсів, повинен буде підтвердити свою особу незалежно від того, звідки він прийшов – з мережі чи ззовні.
Що таке принципи та концепції Zero Trust?
Підхід Zero Trust складається із шести основних концепцій, які працюють разом для зниження ризиків мережевої безпеки та зменшення поверхні атаки організації.
1. Принцип найменших привілеїв
Відповідно до моделі Zero Trust адміністратори мережі не надають користувачам та активам більше доступу до мережі, ніж це необхідно. Доступ до даних також скасовується, коли він більше не потрібний. Це вимагає від команд безпеки ретельного управління дозволами користувачів, а також можливості управління дозволами на основі ідентифікаційних даних або ролей користувачів.
Принцип найменших привілеїв забезпечує безпеку екосистеми корпоративної мережі, обмежуючи розмір збитків, які можуть бути завдані внаслідок одного збою системи безпеки. Якщо зловмисник скомпрометує обліковий запис користувача, він не зможе автоматично отримати доступ до широкого спектру систем, інструментів та робочих навантажень, що виходять за рамки тих, для яких цей обліковий запис призначено. Це також може спростити процес реагування на події безпеки, оскільки жоден користувач або актив не має доступу до активів, що виходять за межі його роботи.
2. Постійний моніторинг та перевірка даних
Політика нульової довіри передбачає, що зловмисники є як усередині мережі, так і за її межами. Щоб гарантувати конфіденційність, цілісність та доступність мережевих активів, необхідно постійно оцінювати користувачів та активи у мережі. Ідентифікація та привілеї користувачів повинні періодично перевірятися, так само, як і ідентифікація та безпека пристроїв.
Організації домагаються цього у різний спосіб. Час очікування підключення та входу – один із способів забезпечити періодичний контроль та перевірку, оскільки він вимагає від користувачів повторної автентифікації, навіть якщо вони не зробили нічого підозрілого. Це допомагає захиститися від загроз, пов’язаних з використанням атак на основі облікових даних для видачі себе за автентифікованих користувачів, а також від інших атак.
3. Контроль доступу до пристроїв
Організації, що переходять до технології Zero Trust, повинні ретельно управляти та контролювати взаємодію користувачів із кінцевими пристроями. Zero Trust ґрунтується на перевірці та автентифікації особистості користувача окремо від пристроїв, що використовуються. Наприклад, засоби безпеки Zero Trust повинні вміти розрізняти двох різних людей, які використовують один і той же кінцевий пристрій.
Такий підхід потребує фундаментальних змін у роботі деяких інструментів безпеки. Наприклад, брандмауерів, які дозволяють або забороняють доступ до мережевих ресурсів тільки на основі інформації про IP-адресу та порт, недостатньо. Більшість користувачів мають у своєму розпорядженні більше одного пристрою, а мобільні пристрої часто змінюють IP-адреси. В результаті технологічний стек кібербезпеки повинен бути здатний надавати та відкликати дозволи на основі фактичної ідентифікації чи ролі користувача.
4. Мікросегментація мережі
Сегментація мережі є гарною практикою безпеки навіть поза рамками Zero Trust, але вона набуває особливого значення, коли загрози можуть виходити як зсередини, так і ззовні мережі. Мікросегментація робить ще один крок уперед, розбиваючи звичайні сегменти мережі на невеликі зони із власними наборами дозволів та авторизацій.
Ці мікросегменти можуть бути не більшими за один актив, а в корпоративному центрі обробки даних можуть бути десятки таких окремо захищених зон. Будь-який користувач або актив, який має дозвіл на доступ до однієї зони, не обов’язково матиме доступ до інших. Мікросегментація підвищує стабільність системи безпеки, оскільки зловмисникам складніше переміщатися між зонами.
5. Виявлення бокового переміщення
Бокове переміщення – це переміщення суб’єктів загроз із однієї зони до іншої у мережі. Одна з переваг мікросегментації полягає в тому, що для переміщення між різними зонами мережі суб’єкти загроз повинні взаємодіяти з інструментами безпеки. Навіть якщо зловмисники досягають успіху, їх дії генерують журнали та аудиторські сліди, які аналітики можуть відслідковувати під час розслідування інцидентів безпеки.
Архітектура Zero Trust призначена для локалізації зловмисників та ускладнення їхнього бокового переміщення по мережі. При виявленні атаки скомпрометований актив може бути ізольований від решти мережі. Активи можуть бути як невеликими – окремі пристрої чи облікові записи користувачів, так і великими – цілі сегменти мережі. Чим гранульованішою є архітектура безпеки, тим більше можливостей для виявлення та запобігання боковим переміщеням у мережі.
6. Багатофакторна автентифікація (MFA)
Паролі є серйозною проблемою для традиційних моделей безпеки, оскільки більшість засобів захисту автоматично поширюють довіру на всіх, хто знає пароль. Як тільки зловмисник дізнається про облікові дані привілейованого користувача, він може обійти більшість перевірок безпеки, видаючи себе за цього користувача.
Багатофакторна автентифікація вирішує цю проблему, вимагаючи від користувачів надання додаткової інформації. Знання пароля недостатньо – користувачі повинні пройти автентифікацію, підтвердивши свою особу іншим способом. Ці додаткові фактори автентифікації можуть бути представлені у вигляді біометричних даних, протоколів виклик/відповідь або апаратних засобів перевірки.
Як реалізувати мережу з нульовою довірою
1. Складіть карту поверхні атаки
Немає універсального рішення для розробки та впровадження архітектури Zero Trust. Ви повинні ретельно визначити поверхню атаки вашої організації та впровадити рішення, які захистять ваші найцінніші активи.
Для цього будуть потрібні різні інструменти, включаючи брандмауери, засоби контролю доступу користувачів, дозволи та шифрування. Вам потрібно буде сегментувати мережу на окремі зони та використовувати мікросегментацію, щоб захистити зони з високою цінністю та високою інтенсивністю роботи окремо.
Зверніть увагу на те, як ваша організація захищає свої найважливіші активи та зв’язки:
- Конфіденційні дані. До них можуть належати дані про клієнтів та співробітників, службову інформацію та інтелектуальну власність, до яких зловмисники не повинні отримати доступ. Вони повинні мати найвищий ступінь захисту.
- Критично важливі програми. Ці програми відіграють центральну роль у бізнес-процесах вашої організації і повинні бути захищені від ризику збоїв. Багато з них обробляють конфіденційні дані і мають бути захищені так само.
- Фізичні активи. До них відноситься все, починаючи від кіосків самообслуговування для клієнтів та закінчуючи апаратними серверами, розташованими в центрі обробки даних. Контроль доступу вкрай важливий для запобігання взаємодії зловмисників із фізичними активами.
- Послуги третіх осіб. Ваша організація спирається на мережу партнерів та постачальників послуг, багатьом з яких потрібний привілейований доступ до ваших даних. Ваша політика «нульової довіри» повинна включати заходи захисту від атак, які компрометують сторонніх партнерів у вашому логістичному ланцюжку.
2. Впровадження засобів контролю нульової довіри за допомогою інструментів мережевої безпеки
Наступним кроком на шляху до Zero Trust стане впровадження інструментів безпеки, які дозволять вам збирати та аналізувати дані про поведінку користувачів у вашій мережі та реагувати на них. Це може вимагати коригування існуючого стеку технологій безпеки та додавання нових інструментів, розроблених для використання у Zero Trust.
- Міжмережні екрани повинні вміти збирати дані про підключення, що виходять за рамки традиційних даних IP, портів та протоколів, на які спирається більшість простих рішень. Підхід Zero Trust вимагає перевірки особистості користувачів та активів, які підключаються до мережевих ресурсів, що потребує більш досконалої технології брандмауера. Це можливо за допомогою технології міжмережевих екранів наступного покоління (NGFW).
- Може знадобитися переконфігурувати або замінити VPN, оскільки вони зазвичай не забезпечують дотримання принципу найменших привілеїв. Зазвичай VPN надає користувачам доступ до всієї підключеної мережі, а не лише до її невеликої частини. У більшості випадків організації, які дотримуються принципу Zero Trust, повністю припиняють використання VPN, оскільки вони не забезпечують значних переваг безпеки.
- Zero Trust Network Access (ZTNA) забезпечує безпечний доступ до мережевих ресурсів, приховуючи при цьому мережеву інфраструктуру та сервіси. Це схоже на програмно-визначуваний периметр, який динамічно реагує на зміни в мережі та забезпечує гнучкість політик безпеки. ZTNA працює за рахунок створення зашифрованих з’єднань один до одного між мережевими ресурсами, що робить неточні VPN значною мірою зайвими.
3. Налаштування управління ідентифікацією та доступом
Моніторинг на основі ідентифікації – один із наріжних каменів підходу Zero Trust. Для того щоб точно надавати та відкликати дозволи користувачам та активам у мережі, необхідно мати уявлення про ідентифікаційні дані пристроїв, що використовуються.
Мережі Zero Trust перевіряють особу користувача різними способами. Деякі брандмауери нового покоління можуть розрізняти трафік, трафік пристроїв, трафік додатків і контент. Це дозволяє брандмауеру призначати сесії додатків окремим користувачам та пристроям, а також перевіряти дані, які передаються між окремими користувачами в мережі.
Насправді це може означати налаштування брандмауера для порівняння вихідного контентного трафіку із зашифрованим списком облікових даних. Якщо користувач випадково зайде на підроблений фішинговий сайт і введе свої облікові дані, брандмауер зможе перехопити ці дані перед тим, як вони будуть передані за межі мережі. Це було б неможливим без можливості розрізняти різні типи трафіку за допомогою технології міжмережевих екранів нового покоління.
Багатофакторна автентифікація також відіграє важливу роль в управлінні ідентифікацією та доступом. Мережа з нульовою довірою не повинна автоматично автентифікувати користувача, який надав правильну комбінацію імені користувача та пароля для доступу до захищеного облікового запису. Це не доводить особу людини, якій належить обліковий запис, – це лише підтверджує, що людина знає ім’я користувача та пароль. Додаткові фактори перевірки підвищують ймовірність того, що ця людина є власником облікового запису.
4. Створення політики нульової довіри для вашого ІТ-середовища
Процес впровадження політики Zero Trust у хмарах може бути складним. Кожен сторонній постачальник та постачальник послуг має відігравати свою роль у створенні та підтримці Zero Trust. Це часто висуває значні технічні вимоги до сторонніх партнерів, що може зажадати від організацій зміни існуючих угод. Якщо сторонній партнер не може підтримувати Zero Trust, він не може бути допущений до мережі.
Те саме справедливо і для локальних середовищ та центрів обробки даних, але з додатковим акцентом на фізичну безпеку та контроль доступу. Керівники служб безпеки повинні знати, хто має фізичний доступ до серверів та інших подібних активів, щоб правильно проводити розслідування інцидентів безпеки. У центрах обробки даних необхідно встановити суворий контроль над тим, хто взаємодіє із захищеним обладнанням та як контролюється їхній доступ.
Як впровадити Zero Trust
Впровадження Zero Trust не призведе до автоматичного створення оперативного контексту безпеки, який ви зможете одразу використати. Вам потрібно буде впровадити операції безпеки, що відображають стратегію Zero Trust, та запустити адаптивні заходи безпеки, спрямовані на усунення вразливостей у режимі реального часу.
- Забезпечте видимість своєї мережі. Периметр вашої мережі більше не визначається апаратними засобами. Він складається з хмарних ресурсів, автоматизованих робочих процесів, операційних систем та багато іншого. Ви не зможете забезпечити нульову довіру, не здобувши видимість всіх аспектів вашого мережевого середовища.
- Моніторинг мережевої інфраструктури та трафіку. Вашій службі безпеки доведеться відстежувати та відповідати на запити доступу, що надходять зсередини та ззовні вашої мережі. Це може призвести до значних затримок, якщо ваша команда не має рішень для автоматичного управління мережевим трафіком та доступом.
- Оптимізація процесу виявлення та реагування. Мережі Zero Trust знижують ризики кібератак, шкідливого ПЗ, здирництва та інших потенційних загроз, проте виявлення та розслідування інцидентів безпеки, як і раніше, покладається на окремих аналітиків. Обсяг даних, які аналітикам доводиться перевіряти, може значно збільшитись, тому ви повинні бути готові до того, що доведеться вирішувати проблему «втоми» від попереджень.
- Автоматизуйте захист кінцевих точок. Розгляньте можливість впровадження автоматизованого рішення Endpoint Detection and Response (EDR), яке дозволяє виявляти шкідливі дії на мережевих пристроях та усувати їх у режимі реального часу.
Реалізуйте нульову довіру за допомогою AlgoSec
AlgoSec – світовий лідер у галузі кібербезпеки, що забезпечує безпечне підключення додатків та управління політиками за допомогою єдиної платформи. Вона відповідає принципам Zero Trust та забезпечує комплексний аналіз потоків трафіку та їх оптимізацію, а також автоматичну зміна політик та усунення ризику порушення нормативних вимог.
Керівники служб безпеки довіряють AlgoSec впровадження та експлуатацію систем Zero Trust, а також проактивне управління складними політиками безпеки.
AlgoSec допоможе вам швидко та ефективно створити мережу Zero Trust, забезпечуючи видимість та управління змінами у всьому технологічному стеку безпеки та дозволяючи співробітникам служби безпеки усувати ризики неправильної конфігурації в режимі реального часу.
Джерело: How to Create a Zero Trust Network
